CVE-2026-4133 in TextP2P Texting Widget Plugin
Zusammenfassung
von VulDB • 03.06.2026
Das TextP2P-Texting-Widget-Plugin für WordPress ist in allen Versionen bis einschließlich 1.7 anfällig für Cross-Site Request Forgery (CSRF). Dies liegt am fehlenden Nonce-Validierungsmechanismus in der Funktion `imTextP2POptionPage()`, die Einstellungenaktualisierungen verarbeitet. Das Formular an Zeile 314 enthält kein `wp_nonce_field()`, und der POST-Handler an Zeile 7 ruft weder `check_admin_referer()` noch `wp_verify_nonce()` auf, bevor Änderungen an den Einstellungen vorgenommen werden. Dies ermöglicht es nicht authentifizierten Angreifern, alle Plugin-Einstellungen einschließlich Chat-Widget-Titeln, Nachrichten, API-Anmeldeinformationen, Farben und der reCAPTCHA-Konfiguration über eine gefälschte Anfrage zu aktualisieren, vorausgesetzt, sie können einen Websiteadministrator dazu bringen, eine Aktion wie das Klicken auf einen Link auszuführen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.